验证码常见安全问题与测试方法汇总

系统使用验证码主要是意图一般有两个个目的，即辅助身份验证（短信或邮箱验证码）和防止攻击者利用自动化脚本恶意攻击网站（数字，图片，视频，行为式等验证码）。

验证码的生命周期

验证码的目的为辅助验证和防止脚本攻击，其生成和销毁的时机以及其是否容易被攻击者猜测和破解是其能否达成设计目的的根本
Step 1：后端识别验证码生成时机，并生成验证码，并设置其失效时机，将验证码返回给用户
Step 2：用户使用验证码进行对应验证操作
Step 3：验证完成后（无论对应验证请求是成功还是失败），验证码销毁，再次使用此验证码进行验证时将作为无效验证码处理
Step 4：到达验证码失效时间后，验证码销毁，再次使用此验证码进行验证时将作为无效验证码处理
以下为验证码设计中常见安全缺陷，在没有特殊标识的情况下，“验证码”指所有验证码

常见问题汇总

验证码由前端生成

验证码由客户端生成是指前端的JS生成验证码并在前端验证，或者将前端生成的样子内容发送给后端工段进行验证，这样的方式并不安全，因为前端的安全性无法保证，攻击者可以篡改JS代码或绕过客户端验证，或固定验证码内容来进行验证码的绕过。

严重程度

中

测试方法

1、观察在获取验证码过程是否给后端发送请求，并由后端返回验证码信息，如没有给后端发送请求则存在安全问题

修复建议

验证码的生成也验证都应在后端进行
出现阶段：Step 1：后端识别验证码生成时机，并生成验证码，并设置其失效时间，将验证码返回给用户

重复的获取短信验证码

在设计短信验证码时没有对短信验证码的请求频次进行限制，导致攻击者可以利用次特性进行短信轰炸，或耗尽服务资源

严重程度

中

测试方法

短时间内多次重发获取短信验证码请求，观察响应信息以及短信是否被发送多次，如短信发送多次则存在安全问题

修复建议

1、限制单个IP的验证码获取次数。
2、在获取验证码时增加其他类型验证码，提升重复获取成本
出现阶段：Step 1：后端识别验证码生成时机，并生成验证码，并设置其失效时间，将验证码返回给用户

已被识别的验证码

这个属于最简单的验证码，过于简单、清晰、可识别性高，可以编写程序进行识别，导致验证码防御体系失效

严重程度

低

测试方法

1、观察验证码有无干扰元素，或干扰元素过少，如下；此类已被识别
![[Pasted image 20231031103512.png]]
在这里插入图片描述

修复建议

1、增加验证码的复杂性：可以增加验证码的图片干扰元素，例如线条、文字、背景等，以增加OCR识别的难度。
2、限制请求频率：可以限制用户请求验证码的频率，例如每分钟只能请求一次验证码，以防止暴力破解。
3、较为重要的系统建议使用交互行验证码
出现阶段：Step 1：后端识别验证码生成时机，并生成验证码，并设置其失效时间，将验证码返回给用户